Vertrag zur Auftragsverarbeitung (Profilseiten)

Stand: 1. Oktober 2026 · Grundlage: Muster der IT-Recht Kanzlei München, angepasst für Profilseiten

Vertrag über die Auftragsverarbeitung personenbezogener Daten zwischen der Region Leinetal Marketplace UG (haftungsbeschränkt), Königsberger Straße 19, 31008 Elze, Amtsgericht Hildesheim HRB 209893, vertreten durch den Geschäftsführer Bernd Krystofiak – im Folgenden Auftragnehmer – und dem Mitglied (Inhaber des mobino-Kontos mit Mitgliedschaft Profi oder B2B-Partner, das eine Profilseite einrichtet), wie im Impressum seiner Profilseite angegeben – im Folgenden Auftraggeber.

1. Einleitung, Geltungsbereich, Definitionen

1.1. Dieser Vertrag regelt die Rechte und Pflichten von Auftraggeber und Auftragnehmer (im Folgenden „Parteien“) im Rahmen einer Verarbeitung von personenbezogenen Daten im Auftrag im Sinne des Art. 28 der EU-Datenschutz-Grundverordnung (im Folgenden „DSGVO“).

1.2. Dieser Vertrag findet auf alle Tätigkeiten Anwendung, bei denen der Auftragnehmer, seine Mitarbeiter oder durch ihn beauftragte Unterauftragnehmer personenbezogene Daten des Auftraggebers im Rahmen der Profilseite verarbeiten.

1.3. In diesem Vertrag verwendete Begriffe sind entsprechend ihrer Definition in der DSGVO zu verstehen. Dieser Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO): Der Auftraggeber stimmt ihm vor der ersten Veröffentlichung der Profilseite zu; Zeitpunkt und Konto werden gespeichert. Erklärungen nach diesem Vertrag können in Textform (z. B. E-Mail) erfolgen, soweit eine angemessene Nachweisbarkeit gewährleistet ist.

2. Gegenstand und Dauer der Verarbeitung

2.1. Der Auftragnehmer stellt dem Auftraggeber eine Profilseite unter name.mobino.app bzw. einer eigenen Domain bereit und liefert sie an Besucher aus. Dabei verarbeitet er Nutzungsdaten der Besucher der Profilseite sowie die personenbezogenen Daten, die der Auftraggeber in seinen Eintrag und seine Profilseite einstellt, zum Zwecke der Bereitstellung, Auslieferung und Absicherung der Profilseite sowie einer datensparsamen Besucherstatistik für den Auftraggeber.

Die Verarbeitung beruht auf der zwischen den Parteien bestehenden Mitgliedschaft (Profi oder B2B-Partner) nach der Leistungsbeschreibung und den Allgemeinen Geschäftsbedingungen des Auftragnehmers (im Folgenden „Hauptvertrag“).

2.2. Die Verarbeitung beginnt mit der ersten Veröffentlichung der Profilseite und erfolgt auf unbestimmte Zeit bis zur Beendigung des Hauptvertrags oder der Löschung der Profilseite.

3. Art und Zweck der Datenverarbeitung

3.1. Der Auftragnehmer erbringt digitale Dienstleistungen (Hosting und Auslieferung der Profilseite) und erhält dabei Zugriff auf personenbezogene Daten im Bestand des Auftraggebers.

3.2. Die Verarbeitung erfolgt in der Art der Erfassung, Speicherung, Darstellung, Auslieferung, Auswertung (Besucherstatistik) und Löschung. Der Auftraggeber ist Verein, Betrieb oder Organisation und präsentiert sich mit der Profilseite öffentlich.

3.3. Die Verarbeitung dient der öffentlichen Präsentation des Auftraggebers im Internet und erfolgt aufgrund dessen Interesses an Reichweite, Information von Interessierten und Kontaktaufnahme.

3.4. Es werden folgende Kategorien personenbezogener Daten verarbeitet:

• Nutzungs- und Verbindungsdaten der Besucher (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung, Herkunftsseite)
• pseudonyme Statistikdaten (täglich wechselnder Kurzwert statt IP-Adresse)
• Kontakt- und Kommunikationsdaten, die der Auftraggeber einstellt (z. B. Namen, Telefonnummern und E-Mail-Adressen von Ansprechpartnern)
• Bilddaten (Fotos, auf denen Personen erkennbar sein können) und Texte des Auftraggebers

3.5. Von der Verarbeitung betroffen sind:

• Besucher der Profilseite
• Personen, deren Daten der Auftraggeber einstellt (z. B. Ansprechpartner, Mitglieder, Mitarbeiter, abgebildete Personen)

4. Pflichten des Auftragnehmers

4.1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder wie vom Auftraggeber angewiesen, es sei denn, der Auftragnehmer ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Sofern solche Verpflichtungen für ihn bestehen, teilt der Auftragnehmer diese dem Auftraggeber vor der Verarbeitung mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten. Der Auftragnehmer verwendet darüber hinaus die zur Verarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Inhalte, die der Auftraggeber zugleich im öffentlichen Eintrag auf den Landesportalen veröffentlicht, verarbeitet der Auftragnehmer dort als eigener Verantwortlicher nach seiner Datenschutzerklärung; dieser Vertrag betrifft nur die Profilseite.

4.2. Der Auftragnehmer bestätigt, dass ihm die einschlägigen, allgemeinen datenschutzrechtlichen Vorschriften bekannt sind. Er beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung.

4.3. Der Auftragnehmer verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren.

4.4. Personen, die Kenntnis von den im Auftrag verarbeiteten Daten erhalten können, haben sich zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen.

4.5. Der Auftragnehmer sichert zu, dass die bei ihm zur Verarbeitung eingesetzten Personen vor Beginn der Verarbeitung mit den relevanten Bestimmungen des Datenschutzes und dieses Vertrags vertraut gemacht wurden und hinsichtlich der Erfüllung der Datenschutzanforderungen laufend angemessen angeleitet und überwacht werden.

4.6. Der Auftragnehmer unterstützt den Auftraggeber bei Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten sowie bei einer Datenschutz-Folgenabschätzung und stellt ihm die erforderlichen Angaben auf Anforderung zur Verfügung.

4.7. Wird der Auftraggeber durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen oder machen betroffene Personen ihm gegenüber Rechte geltend, unterstützt ihn der Auftragnehmer im erforderlichen Umfang, soweit die Verarbeitung im Auftrag betroffen ist.

4.8. Auskünfte an Dritte oder Betroffene darf der Auftragnehmer nur nach vorheriger Zustimmung durch den Auftraggeber erteilen. Direkt an ihn gerichtete Anfragen leitet er unverzüglich an den Auftraggeber weiter.

4.9. Der Auftragnehmer ist gesetzlich nicht zur Benennung eines Datenschutzbeauftragten verpflichtet und hat keinen benannt. Ansprechpartner für den Datenschutz ist der Geschäftsführer (Anlage 3). Ändert sich dies, teilt der Auftragnehmer es dem Auftraggeber unverzüglich mit.

4.10. Die Auftragsverarbeitung erfolgt grundsätzlich innerhalb der EU oder des EWR. Eine Verarbeitung in Drittländern erfolgt nur durch die in Anlage 2 genannten Unterauftragnehmer und unter den in Kapitel V der DSGVO enthaltenen Bedingungen.

5. Technische und organisatorische Maßnahmen

5.1. Die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen werden als verbindlich festgelegt. Sie definieren das vom Auftragnehmer geschuldete Minimum.

5.2. Die Maßnahmen können der technischen und organisatorischen Weiterentwicklung entsprechend angepasst werden, solange das vereinbarte Niveau nicht unterschritten wird. Wesentliche Änderungen teilt der Auftragnehmer dem Auftraggeber mit.

5.3. Genügen die Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht oder nicht mehr, benachrichtigt der Auftragnehmer den Auftraggeber unverzüglich.

5.4. Der Auftragnehmer sichert zu, dass die im Auftrag verarbeiteten Daten logisch von sonstigen Datenbeständen getrennt werden (Zuordnung zur jeweiligen Profilseite).

5.5. Kopien oder Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Ausgenommen sind technisch notwendige Vervielfältigungen, insbesondere Datensicherungen und Zwischenspeicher (Caches), soweit eine Beeinträchtigung des vereinbarten Datenschutzniveaus ausgeschlossen ist.

5.6. Die Verarbeitung erfolgt auf Systemen des Auftragnehmers in seinen Geschäftsräumen in Elze sowie bei den in Anlage 2 genannten Unterauftragnehmern. Eine Speicherung auf Privatgeräten erfolgt nicht; Zugriffe zur Administration erfolgen ausschließlich verschlüsselt und authentifiziert.

5.7. Der Auftraggeber ist berechtigt, die Erfüllung der Pflichten durch den Auftragnehmer nach Maßgabe von Ziffer 8.4 und 8.5 zu kontrollieren.

6. Berichtigung, Löschung und Sperrung von Daten

6.1. Im Auftrag verarbeitete Daten wird der Auftragnehmer nur entsprechend der vertraglichen Vereinbarung oder nach Weisung des Auftraggebers berichtigen, löschen oder sperren. Der Auftraggeber kann Inhalte seiner Profilseite jederzeit selbst ändern, ausblenden oder die Profilseite löschen lassen.

6.2. Entsprechenden Weisungen des Auftraggebers wird der Auftragnehmer jederzeit und auch über die Beendigung dieses Vertrages hinaus Folge leisten.

7. Unterauftragsverhältnisse

7.1. Die Beauftragung von Unterauftragnehmern durch den Auftragnehmer ist zulässig. Der Auftragnehmer informiert den Auftraggeber vorab über die Hinzuziehung oder Ersetzung von Unterauftragnehmern durch Aktualisierung von Anlage 2 und Mitteilung per E-Mail; der Auftraggeber kann dem innerhalb von vier Wochen widersprechen und in diesem Fall die Mitgliedschaft zum Änderungszeitpunkt kündigen. Auf Verlangen erteilt der Auftragnehmer Auskunft über eingesetzte Unterauftragnehmer.

7.2. Der Auftragnehmer wählt Unterauftragnehmer unter besonderer Berücksichtigung der Eignung ihrer technischen und organisatorischen Maßnahmen sorgfältig aus und verpflichtet sie vertraglich in dem nach Art. 28 Abs. 4 DSGVO erforderlichen Umfang.

7.3. Die Beauftragung von Unterauftragnehmern außerhalb der EU/des EWR ist nur unter Beachtung von Ziffer 4.10 zulässig, insbesondere nur, soweit der Unterauftragnehmer angemessene Datenschutzgarantien bietet.

7.4. Kommt ein Unterauftragnehmer seinen Datenschutzpflichten nicht nach, haftet hierfür der Auftragnehmer gegenüber dem Auftraggeber.

7.5. Zurzeit sind die in Anlage 2 bezeichneten Unterauftragnehmer mit der Verarbeitung von personenbezogenen Daten in dem dort genannten Umfang betraut.

7.6. Unterauftragsverhältnisse im Sinne dieses Vertrags sind nur solche Leistungen, die einen direkten Zusammenhang mit der Erbringung der Hauptleistung aufweisen. Nebenleistungen wie Telekommunikationsdienstleistungen oder Wartung sind nicht erfasst; die Pflicht zur Beachtung von Datenschutz und Datensicherheit bleibt unberührt.

8. Rechte und Pflichten des Auftraggebers

8.1. Für die Beurteilung der Zulässigkeit der Verarbeitung (insbesondere der Inhalte, die er einstellt) sowie für die Wahrung der Rechte von Betroffenen ist allein der Auftraggeber verantwortlich. Er sorgt insbesondere für ein Impressum und dafür, dass er zur Veröffentlichung eingestellter Personendaten und Fotos berechtigt ist.

8.2. Der Auftraggeber erteilt Weisungen dokumentiert, in der Regel per E-Mail an die in Anlage 3 genannte Adresse oder durch die Einstellungen seiner Profilseite.

8.3. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

8.4. Der Auftraggeber ist berechtigt, die Einhaltung dieses Vertrags beim Auftragnehmer in angemessenem Umfang zu kontrollieren, vorrangig durch die Einholung von Auskünften und Nachweisen; Kontrollen vor Ort sind nach Ziffer 8.5 möglich.

8.5. Kontrollen haben ohne vermeidbare Störungen des Geschäftsbetriebs zu erfolgen. Soweit nicht aus vom Auftraggeber zu dokumentierenden, dringlichen Gründen anders angezeigt, finden sie nach angemessener Vorankündigung zu Geschäftszeiten und nicht häufiger als alle 12 Monate statt.

9. Mitteilungspflichten

9.1. Der Auftragnehmer teilt dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnis, an die E-Mail-Adresse seines mobino-Kontos mit. Die Mitteilung enthält mindestens die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen (Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, Ansprechpartner, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen).

9.2. Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen bei der Auftragserledigung sowie Verstöße gegen datenschutzrechtliche Bestimmungen oder diesen Vertrag.

9.3. Der Auftragnehmer informiert den Auftraggeber unverzüglich von Kontrollen oder Maßnahmen von Aufsichtsbehörden, soweit diese die Auftragsverarbeitung betreffen.

9.4. Der Auftragnehmer unterstützt den Auftraggeber bei dessen Pflichten nach Art. 33 und 34 DSGVO im erforderlichen Umfang.

10. Weisungen

10.1. Der Auftraggeber behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.

10.2. Die zur Erteilung und Annahme von Weisungen befugten Personen sind in Anlage 3 benannt. Änderungen sind der anderen Partei unverzüglich mitzuteilen.

10.3. Der Auftragnehmer macht den Auftraggeber unverzüglich darauf aufmerksam, wenn eine Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt, und darf ihre Durchführung bis zur Bestätigung oder Änderung aussetzen. Zu einer materiell-rechtlichen Prüfung von Weisungen ist er nicht verpflichtet.

11. Beendigung des Auftrags

11.1. Bei Beendigung des Auftragsverhältnisses oder jederzeit auf Verlangen des Auftraggebers löscht der Auftragnehmer die nur für die Profilseite verarbeiteten Daten (Einstellungen der Profilseite, Statistikdaten); Inhalte des öffentlichen Eintrags auf den Landesportalen bleiben davon unberührt. Server- und Zugriffsprotokolle werden nach Ablauf ihrer üblichen Speicherfrist gelöscht, Datensicherungen im Rahmen der regulären Rotation. Elektronische Datenträger werden bei Aussonderung sicher gelöscht oder vernichtet (mindestens Schutzklasse 2 nach DIN 66399).

11.2. Der Auftragnehmer veranlasst die Löschung auch bei Unterauftragnehmern, soweit dort Daten gespeichert sind.

11.3. Der Auftragnehmer weist die Löschung auf Verlangen nach.

11.4. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, bewahrt der Auftragnehmer entsprechend den Aufbewahrungsfristen auch über das Vertragsende hinaus auf.

12. Vergütung

Die Vergütung ist abschließend im Hauptvertrag (Mitgliedschaft) geregelt. Eine gesonderte Vergütung oder Kostenerstattung im Rahmen dieses Vertrages erfolgt nicht.

13. Haftung

13.1. Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haften Auftraggeber und Auftragnehmer nach Art. 82 DSGVO.

13.2. Im Innenverhältnis trägt der Auftraggeber die Verantwortung für die Rechtmäßigkeit der von ihm eingestellten Inhalte und stellt den Auftragnehmer von Ansprüchen Dritter frei, die auf diesen Inhalten beruhen.

13.3. Der Auftragnehmer haftet dem Auftraggeber für Schäden, die er, seine Mitarbeiter oder Unterauftragnehmer im Zusammenhang mit der Erbringung der beauftragten Leistung schuldhaft verursachen. Dies gilt nicht, soweit der Schaden durch die korrekte Umsetzung einer Weisung des Auftraggebers entstanden ist. Im Übrigen gelten die Haftungsregeln der Allgemeinen Geschäftsbedingungen.

14. Sonderkündigungsrecht

14.1. Der Auftraggeber kann den Hauptvertrag und diesen Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder diesen Vertrag vorliegt, der Auftragnehmer eine rechtmäßige Weisung nicht ausführen kann oder will oder Kontrollrechte vertragswidrig verweigert.

14.2. Bei unerheblichen Verstößen setzt der Auftraggeber eine angemessene Frist zur Abhilfe; erfolgt diese nicht rechtzeitig, ist er zur außerordentlichen Kündigung berechtigt.

15. Sonstiges

15.1. Beide Parteien behandeln alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der anderen Partei auch über das Vertragsende hinaus vertraulich.

15.2. Wird Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa Pfändung oder Beschlagnahme), ein Insolvenzverfahren oder sonstige Ereignisse gefährdet, verständigt der Auftragnehmer den Auftraggeber unverzüglich.

15.3. Änderungen dieses Vertrags teilt der Auftragnehmer mindestens vier Wochen vorher in Textform mit; widerspricht der Auftraggeber nicht und nutzt er die Profilseite weiter, gelten sie als vereinbart. Auf diese Folge wird in der Mitteilung hingewiesen.

15.4. Die Einrede des Zurückbehaltungsrechts im Sinne des § 273 BGB wird hinsichtlich der im Auftrag verarbeiteten Daten ausgeschlossen.

15.5. Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

Anlage 1 – Technische und organisatorische Maßnahmen

1. Zutrittskontrolle: Die Server stehen in abgeschlossenen Geschäftsräumen des Auftragnehmers in Elze. Zutritt haben nur befugte Personen; Besucher werden begleitet.
2. Zugangskontrolle: Administrativer Zugang nur über persönliche Konten mit starken Passwörtern bzw. kryptografischen Schlüsseln (SSH); die Server sind nicht direkt aus dem Internet erreichbar, öffentliche Dienste werden über verschlüsselte Tunnel (Cloudflare Tunnel) bereitgestellt; Firewall nach außen.
3. Zugriffskontrolle: Rollen- und rechtebasiertes Berechtigungskonzept in der Datenbank- und Verwaltungssoftware; Mitglieder sehen und ändern nur eigene Einträge; Zugangsdaten und Schlüssel werden getrennt und geschützt verwahrt.
4. Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (TLS/HTTPS); Fernzugriffe nur verschlüsselt; keine Weitergabe an Dritte außer an die Unterauftragnehmer nach Anlage 2.
5. Eingabekontrolle: Änderungen an Datensätzen werden in der Verwaltungssoftware mit Zeitpunkt und Konto protokolliert (Aktivitäts- und Versionsprotokoll).
6. Auftragskontrolle: Verarbeitung nur nach diesem Vertrag und dokumentierten Weisungen; Unterauftragnehmer sind vertraglich nach Art. 28 DSGVO gebunden.
7. Verfügbarkeitskontrolle: Tägliche automatische Datensicherung an einen räumlich getrennten zweiten Ort; Überwachung der Systeme mit Alarmierung; Virtualisierung mit Wiederherstellungsmöglichkeit; Sicherheitsaktualisierungen werden zeitnah eingespielt.
8. Trennungsgebot: Daten werden je Profilseite bzw. Eintrag logisch in der Datenbank getrennt und nur für den jeweiligen Zweck verwendet.
9. Datensparsamkeit und Pseudonymisierung: Die Besucherstatistik arbeitet ohne Cookies und ohne Übermittlung der IP-Adresse an die Analysesoftware (täglich wechselnder Kurzwert); keine Werbe- oder Trackingdienste.
10. Datenträgervernichtung: Ausgesonderte Datenträger werden sicher gelöscht bzw. physisch vernichtet (mindestens Schutzklasse 2 nach DIN 66399); Papierunterlagen werden geschreddert.
11. Fernwartung: Es erfolgt keine Fernwartung durch andere Unternehmen.

Anlage 2 – Gegenwärtige Unterauftragnehmer

Unterauftragnehmer	Leistung	Ort und Garantien
Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA	Auslieferung der Profilseite (Content-Delivery-Netzwerk, sicherer Tunnel zu den Servern des Auftragnehmers, Ausstellung der SSL-Zertifikate für eigene Domains)	EU und USA; EU-US Data Privacy Framework, Standardvertragsklauseln

Hosting, Datenbank, Bildspeicher und Besucherstatistik (Matomo) betreibt der Auftragnehmer selbst auf eigenen Servern in Elze.

Anlage 3 – Weisungsberechtigte Personen

1. Weisungserteilung (Auftraggeber): der Inhaber des mobino-Kontos, das die Profilseite betreut, sowie die im Impressum der Profilseite genannten Vertretungsberechtigten; Weisungen erfolgen über die Einstellungen der Profilseite oder per E-Mail von der Adresse des Kontos.

2. Weisungsentgegennahme (Auftragnehmer): Bernd Krystofiak, Geschäftsführer, Region Leinetal Marketplace UG (haftungsbeschränkt), Königsberger Straße 19, 31008 Elze, E-Mail: [email protected], Tel.: +49 155 60900877.